Une histoire de dette technique. Notons que pour l'obsolescence programmée ou pour faire acheter le dernier joujou inutile mais mega cher à la mode, là y'a du monde mais pour la sécurité, y'a plus personne pour faire du gavage d'oies. :))))

« Mozilla a annoncé qu’elle ne supporterait plus les certificats SHA-1 à partir de 1er juillet 2016. Microsoft a également abondé dans le même sens et a fixé le mois de juin 2016 comme date de fin du support de SHA-1 dans son navigateur. Google qui avait fixé la sienne au 1er janvier 2017 est en cours de réflexion afin de voir s’il ne serait pas judicieux de rapprocher la date de fin du support de SHA-1 au 1er juillet 2016 comme Mozilla.


[...]

À l’opposé de ces entreprises qui souhaitent ne plus supporter ce standard le plus tôt possible, nous avons CloudFlare et Facebook qui après avoir évalué l’impact de l’abandon du support de SHA-1, ont les regards tournés dans le sens contraire et encouragent les entreprises à supporter le standard afin de ne pas priver une partie des utilisateurs de la sécurité offerte par cet algorithme de hachage.

Selon l’enquête menée par Cloudflare, 37 millions d’internautes n’ont pas d’équipements compatibles avec SHA-2 et seraient définitivement coupés des pages chiffrées avec cet algorithme de chiffrement dès l’abandon du support SHA-1.

Facebook a produit des statistiques similaires après avoir détecté que « 3-7 % des navigateurs actuellement utilisés ne sont pas en mesure d’utiliser la norme SHA-256 plus récente

[...]

Twitter qui est également concerné par le problème a effectué des tests qui ont permis de démontrer que 3 à 6 % de ses utilisateurs ne pourront pas accéder à sa plateforme à partir de SHA-2.

[...]

Avec cette annonce, les utilisateurs disposant uniquement de support pour SHA-1 peuvent espérer continuer à accéder à ces plateformes après l’abandon du support par certaines entreprises. Toutefois, pour que cette initiative puisse atteindre son objectif, ne serait-il pas intéressant pour d’autres entreprises de suivre le pas ?

En outre, vu que Twitter annonce que le support pour SHA-1 sera abandonné en mars 2019, ne serait-il pas mieux de le faire maintenant ? Par ailleurs, ces entreprises soulignent que le support pour SHA-1 sera abandonné si une attaque se produisait. Devrait-on attendre qu’une telle occurrence survienne avant d’abandonner ce certificat ? Ne serait-il pas mieux d’obliger ces utilisateurs à acquérir d’autres supports compatibles avec SHA-256, au lieu de vouloir leur offrir une sécurité à risques ? »

Via https://twitter.com/aeris22/status/682517278504562689